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(57) Abstract: The invention 
concerns a method and a microchip 
(8) integrated system for executing 
securely a sequence of instructions 
of a computer application in the 
form of objects or typed data, in 
particular written in JAVA language. 
The storage unit (1) is arranged 
into a first series of elementary 
stacks (2, 3) for recording the 
instructions. The method consists 
in associating with each data or 
typed object one or several so-called 
typing bits specifying the type. 
Said bits are recorded in a second 
series of stacks (4, 5) in one-to-one 
relationship with the stacks (2, 3) 
of the first series. Before executing 
the instructions of predetermined 
types, a continuous verification is 
carried out, prior to execution of 
said instructions, of the conformity 
between a type mentioned 
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in the instructions and an expected type, indicated by the typing bits. In case of non-conformity, the execution is stopped. 

(57) Abr^g^ : U invention conceme un proced6 et un systeme embarque ^ puce electronique (8) pour I'execution securisee d'une 
sequence d 'instructions d'une application informatique se pr^sentant sous la forme d'objects ou de donnees typees, notamment ecrite 
en langage "JAVA". La m6moire (1) est organis^e en une premiere sdrie de piles 61^mentaiies (2, 3) pour renregistrement des ins- 
tructions. On associe d chaque donn^ ou objet typ^ un ou plusieurs bits dits de typage sp^cifiant le type. Ces bits sont enregistr^s 
dans une deuxi^me serie de piles el^mentaines (4, 5), en relation biunivoque avec les piles (2, 3) de la premiere serie. Avant Texe- 
cution d 'instructions de types predetermines, il est proc6d6 ^ une verification en continu, prealable ^ T execution de ces instructions, 
de la concordance oitre un type indique par celles-ci et un type attendu, indiqu^ par les bits de typage. En cas de non-concordance 
I'execution et stoppee. 
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PROCEDE DE SECURISATION D'UN LANGAGE DU TYPE A DONNEES 
TYPEES, NOTAMMENT DANS UN SYSTEME EMBARQUE ET SYSTEME 
EMBARQUE DE MiSE EN CEUVRE DU PROCEDE 

Uinvention concerne un procede de securisation dynamique d'un 
langage du type a donnees typees, notamment pour un systeme embarque a 
puce electronique. 

LMnvention concerne encore un systeme embarque a puce 
5 electronique pour la mise en osuvre du procede. 

Dans le cadre de rinvention, le terme "systeme embarque" doit etre 
compris dans son sens le plus general. II concerne notamment toutes sortes 
de terminaux I6gers munis d'une puce electronique, et plus particuli§rement 
les cartes k puce proprement dites. La puce Electronique est munie de 
10 moyens d'enregistrement et de traitement de donnees numeriques, par 
exemple un microprocesseur pour ces derniers moyens. 

Pour fixer les idees, et sans que cela limite en quoi que ce soit sa 
portee, on se placera ci-apres dans le cas de Tapplication preter^e de 
rinvention, a savoir les applications a base de cartes a puce, sauf mention 
15 contraire. 

De meme, bien que divers langages informatiques, tels les 
langages "ADA" ou "KAMEL" (tous deux etant des noarques depos§es), sent 
du typie dit a donnees ou objets types, un des langages les plus utilises dans 
le domaine pref6r6 de rinvention etant ie langage de type objet "JAVA" 

20 (marque deposEe), ce langage sera pris comme exemple ci-aprds, pour 
decrire en detail le procede de rinvention. 

Enfin, le terme "s§curisation" doit lul aussi etre compris dans un 
sens general. Notamment, 11 concerne aussi bien ce qui a trait au concept de 
confidentialite des donnees manipulees qu'au concept d'integrite, materielle 

25 et/ou logicielle, des composants presents dans le systeme embarque. 
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Avant de decrire plus avant Tinvention, il est tout d'abord utile de 
rappeler brievement les principales caracteristiques du langage "JAVA", 
notamment dans un environnement du type carte a puce. 

Ce dernier langage presente en particulier Tavantage d'etre 
5 multiplateformes : il suffit que la machine dans laquelle s'execute 
rapplication ecrite en langage "JAVA" soit munie d'un minimum de 
ressources informatiques specifiques, notamment d'une piece de logiclel 
appel§ "machine virtuelle JAVA" pour ['interpretation d'une suite de 
sequences d' "opcodes" d'instructions de 8 bits, appelees "bytecode" ou "p- 

10 code" (pour "program code" ou code programme). Le "p-code" est enregistr6 
dans des positions de memoire des moyens d'enregistrement de donnees 
precites. Plus precisement, dans le cas du langage "JAVA", la zone occupee 
par les positions de memoire, d'un point de vue logique, se presente sous 
une configuration connue sous le nom de pile. 

15 Dans le cas d'une carte a puce, celle-ci integre la "machine virtuelle 

JAVA" (enregistree dans ses moyens de memoire) et fonctionne en 
interpr^tant un langage base sur la sequence d'opcodes precit§e. Le code 
executable ou "p-code" resulte d'une compilation prealable. Le compilateur 
est agence pour que le langage transforme ob6isse k un format determine et 

20 respecte un certain nombre de regies fixees a prion. 

Les "opcodes" peuvent recevoir des valeurs d'elements les suivants 
dans une sequence du "p-code", ces §l§ments sont alors appeles 
paramMres. Les opcodes peuvent aussi recevoir des valeurs en provenance 
de la pile. Ces elements constituent alors des operandes. 

25 Selon une autre caracterlstique du langage "JAVA", il est mis en 

oeuvre des elements connus sous les noms de "classes" et de "methodes". 
Lors de rex6cution d'une methode donnee, la machine virtuelle retrouve le 
"p-code" correspondant. Ce "p-code" identifie des operations specifiques a 
effectuer par la machine virtuelle. Une pile particuliere est n§cessaire pour 

30 le traitement de variables dites locales, d'op^rations arithm6tlques ou pour 
rinvocation d'autres methodes. 
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Cette pile sert de zone de travail pour la machine virtuelle. Pour 
optimiser les performances de la machine virtuelle, la largeur de la pile est 
generalement fixee pour un type primitif donne. 

Dans cette pile deux grands types d'objets peuvent etre manipules : 
5 - des objets de type dit "primitif", ceux connus sous les denominations 
7nf" (pour entier long : 4 octets), "short" (pour entier court : 2 octets), 
"byte"* (octet), "boolean'' (objet booleen) ; et 

des objets de type dit "reference" (tableaux d'objets de type primitif, 
instances de classes). 
10 La difference fondamentale entre ces deux types d'objets est que 

seule la machine virtuelle attribue une valeur d des objets de type reference 
et les manipule. 

Les objets references peuvent etre vus comme des pointeurs vers 
des zones memoires de la carte a puce (references physiques ou loglques). 
15 Le iangage "JAVA", dont les principales caract6ristiques viennent 

d'etre succinctement rappelees, se prete partlculierement bien aux 
applications mettant en jeu des interconnexions avec le reseau Internet et 
son grand succ§s est d'ailleurs lie au fort developpement des applications 
Internet. 

20 D*un point de vue security, il presente aussi un certain nonr^re 

d'avantages. Tout d'abord, le code executable ou "p-code" r^sulte d'une 
compilation pr§alable. Le compilateur peut done etre agence, comme il a 6\e 
indiquS, pour que le Iangage transforms obSisse d un format detenmine et 
respecte un certain nombre de regies fix6es a priori. 

25 Une de ces regies est qu'une application donnee soit confin6e a 

rinterieur de ce qui est appele une "sand box" (ou "boite noire"). Les 
instructions et/ou donnees associSes a une application d§tennin6e sent 
memorisees dans des positions de memoire des moyens d'enregistrement 
de donnees. Dans le cas du Iangage "JAVA", d'un point de vue logique, la 

30 configuration de ces moyens d'enregistrement de donnees prend la forme 
d'une pile. Le confinement dans une "sand box" signifie en pratique que les 
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instructions precitees ne peuvent pas adresser des positions memolres en 
dehors de celles affectees a ladite application, sans y etre autorisees 
expressement. 

Cependant, une fois charge en memoire, des problemes de securite 

5 peuvent se poser si le "p-code" a ete altere ou si son format n'a pas 
respecte les specifications de la machine virtuelle. Aussi, dans l*art connu, 
notamment lorsqu'il s'agit d'applications, par exemple des "applets" 
(appllquettes), t§l§chargees via le reseau Internet, le code compile, c'est-a- 
dire le "p-code" est verifie par la machine virtuelle, Cette derniere est 

io habituellement associee a un navigateur de type "WEB" dont est muni le 
temninal connecte au reseau Internet. Pour ce faire, la machine virtuelle est 
elle-meme associee a une piece de logiciel particuliere ou verificateur. 

Cette verification peut s'effectuer en mode dit "off-line", c'est-a-dire 
hors connexion, ce qui ne penalise pas le traitement de I'application, 

t5 notamment d'un point de vue cout de communication. 

On est ainsi sur, aprds que la verification soit effectu6e, que le "p- 
code" n*est pas endommag§ et est conforme au format et aux regies 
preetablis. On est aussi sur, dans ces conditions, que lors de Texecution du 
"p-code", II n'y aura pas de deterioration du terminal dans lequel il s'ex^cute. 

20 Cependant, ce precede n'est pas sans inconvenients, en particulier 

dans le cadre des applications vis§es preferentiellement par rinvention. 

Tout d'abord, le verificateur precitS n^cessite k lui seul une quantite 
de memoire relativement importante, de Tordre de plusieurs MO. Cette 
valeur elevee ne presente pas de probldmes particuliers si le verificateur est 

25 enregistre dans un micro-ordinateur ou un terminal similaire disposant de 
ressources m6moires §levees. Cependant, lorsque Ton envisage d'utiliser un 
terminal de traitement de donnees possedant des ressources informatiques 
plus limltees, a iorWon une carte a puce, il n'est pas envisageable, d'un point 
de vue pratique, compte tenu des technologies actuellement disponibles, 

30 d'impl6menter le verificateur dans ce type de terminal. 
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On doit egalement noter que la verification est d'un type que Ton 
peut qualifier de "statique", car effectuee une fois pour toute, avant 
Texecution du "p-code". Lorsqull s'agit d'un terminal du type micro- 
ordinateur, notamment lorsque ce dernier est maintenu deconnecte lors de 

5 Texecution du "p-ccxle" verifie au prealable, cette derniere caracteristique ne 
pose pas de problemes partlculiers. En effet, il n*existe pas de risques 
importants, d'un point de vue securlte, car le terminal reste habltuellement 
sous le controle de son operateur. 

Tel n'est pas le cas pour un systeme embarqu6 mobile, notamment 

10 pour une carte a puce. En effet, si le "p-code", meme verifi§, est ensuite 
charge dans les moyens d'enregistrement de donnees de la carte a puce, il 
peut subir a posteriori des alterations. En general, la carte a puce, ce par 
nature, n'est pas destinee a demeurer en permanence dans le terminal a 
partir duquel ['application a ete chargee. A titre d'exemple non limitatif, la 

15 carte a puce peut etre soumise a un rayonnement ionisant qui altere 
physiquement des positions de memoire. II est possible egalement d'alterer 
le "p-code" au moment de son telechargement dans la carte a puce, a partir 
du terminal. 

II s'ensuit que, si le "p-code" est altere, notamment dans un but 
20 malveillant, il est possible d'effectuer une operation dite de "dump" 
(duplication) de zones de memoires et/ou de mettre en peril le bon 
fonctionnement de la carte a puce. II devlent ainsi possible, par exemple, et 
malgr§ la disposition dite de "sand box" precit^e, d'avoir aoces k des 
donnees confidentlelles, ou pour |e moins non autoris6es, bu d'attaquer 
25 I'integrlte d'une ou plusieurs applications presentes sur la carte a puce. 
Enfin, si la carte a puce est connectee au monde exlerieur, les 
dysfonctionnements provoques peuvent se propager a Texterieur de la carte 
a puce. 

Uinvention vise a palller les inconvenients des precedes et 
30 disposltifs de Tart connu, et dont certains viennent d'etre rappeles. 



i 
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Linvention se fixe pour but un procede de securisation dynamique 
d'applications en langage du type a donnees typees dans un systeme 
embarque. 

Elle se fixe egalement pour but un systeme pour la mise en ceuvre 
5 de ce procede. 

Pour ce faire, selon une premiere caracteristique, un Element 
d'information binaire comprenant un ou plusieurs bits, que I'on appellera ci- 
apres "element d'information de type", est associe a cliaque objet manipul§ 
par la machine virtuelle, dans le cas du langage "JAVA" pr^cite. De fagon 
10 plus gen6rale, un element dinformation de type est associ§ ^ chaque 
donnee typee manipulee dans un langage donn§, du type a objets ou 
donnees types. 

Selon une autre caracteristique, les elements d'information de type 
sent stockes physiquement dans des zones de memoire particulieres des 

15 moyens de memorisation du systeme embarque a puce electronique. 

Selon une autre caracteristique encore la machine virtuelle, toujours 
dans le cas du langage "JAVA" v§rifie lesdits elements d'information de type 
lors de certaines operations d'execution du "p»code", telles la manipulation 
d'objet dans la pile, etc., operations qui seront precis§es ci-apres. De fagon 

20 plus generate egalement, pour un autre langage, le processus est similaire 
et tl est procede a une etape de verification des elements d'information de 
type. On constate done que, de fagon avantageuse, ladlte verification est 
tfun type que Ton peut appeler dynamique, puisqu'effectuee en temps reel 
lors de Tinterpretation ou de Texecution du code. 

25 La machine virtuelle, ou ce qui en tient lieu pour un langage autre 

que le langage "JAVA", verifie, en continu et avant ladite execution d'une 
instmction ou d'une operation, que Telement d'information de type 
correspond bien au type attendu de Tobjet ou de la donnee type a manipuler. 
Lorsqu'un type incor'rect est detecte, des mesures securitaires sent prises 

30 afin de proteger la machine virtuelle et/ou d'empdcher toutes operations non 
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conformes et/ou dangereuses pour rintegrite du systdme embarque a puce 
electronique. 

Selon une premiere variante de realisation supplementaire du 
precede selon Tinvention, lesdits elements d'information de type sont 

5 §gaiement utilises avantageusement pour permettent la gestion de piles de 
largeurs variables, ce qui permet d'optimiser I'espace memoire du systeme 
embarqu§ d puce dlectronique, dont les ressources de ce type sont, par 
nature, limitees, comme il a ete rappel§. 

Selon une deuxieme variante de realisation suppl§mentaire, 

10 cumulable avec la premiere, les 6l6ments d'information de type sont 
dgalement utilises, en y adjoignant un ou plusieurs bit(s) d'information 
supplementaire{s), utilises comme "drapeau" ("flags" selon la terminologie 
angio-saxonne), pour marquer les objets ou les donnees typees. Ce 
marquage est alors utilise pour indiquer si ces derniers elements sont 

15 utilises ou non, et dans ce dernier cas, slls peuvent etre effaces de la 
memoire, ce qui permet egalement de gagner de la place memoire. 

Uinvention a done pour objet principal un proced6 pour Tex^cution 
s6curls§e d*une sequence d'instructions d'une application informatique se 
presentant sous la forme de donnees typ§es enregistrees dans une 

20 premiere serie d'emplacements detennines d'une memoire d'un systeme 
informatique, notamment un systeme embarqu6 d puce 6lectronique, 
caracterise en ce que des donnees supplementaires dites Elements 
d'information de type sont associes a chacune desdites donnees typees, de 
maniere ^ specifier le type de ces donn6es, en ce que lesdits Elements 

25 d'information de type sont enregistr6s dans une deuxieme s§rie 
d'emplacements de memoire determines de ladite memoire de systeme 
informatique, et en ce que, avant Texecution d'instructions d'un type 
predetermine, il est precede a une verification en continu, prealable a 
I'execution d'instructions predeterminees, de la concordance entre un type 

30 indique par ces instructions et un type attendu indiqud par lesdits §l§ments 
d'information de type enregistres dans ladite deuxidme serie d'emplacenrient 
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de memoire, de maniere n'autoriser ladite execution qu'en cas de 
concordance entre lesdits types. 

Linvention a encore pour objet un systeme embarque a puce 
§lectronique pour la mise en C9uvre de ce precede. 
5 L'invention va maintenant etre d6crite de fagon plus detaillee en se 

r6f6rant aux dessins annexes, parmi lesquels : 

les figures 1A a 1G illustrent les principales etapes d'une 
execution con-ecte d'un exemple de "p-code" dans une memoire ^ 
pile associee a des zones de m§moire specifiques stoci<ant des 
10 donnees dites elements d'Information de type selon l'invention ; 

les figures 2A et 2B illustrent schematiquement des etapes 
d'execution de ce meme code, mais contenant une alteration menant 
a une execution incorrecte et une detection de cette alteration par le 
precede de Tinvention ; et 
IS - la figure 3 illustre schematiquement un systdme comprenant 

une carte S puce pour la mise en oeuvre du proc6d6 selon 
invention. 

Dans ce qui suit, sans en limiter en quoi que ce soit la portee, on se 
placera ci-apres dans le cadre de Tapplication preferee de invention, sauf 
20 mention contraire, c*est-^-dire dans le cas d*un systSme embarquS a puce 
eiectronique integrant une machine virtuelle "JAVA" pour rinterpretation de 
"p-code". 

Comme il a ete rappele dans le preambule de la presente 
description, lors de I'execution d'une methode donnee, la machine virtuelle 
25 retrouve le "p-code" correspondant. Ce "p-code" identifie des operations 
specifiques a effectuer par la machine virtuelle. Une pile particuliere est 
necessaire pour le traitement de variables dites locales, d'operations 
arithmetiques ou pour Tinvocation d'autres m§thodes. 

La pile sert de zone de travail pour la machine virtuelle. Pour 
30 optimiser les perfomriances de la machine virtuelle, la largeur de la pile est 
generalement fixee pour un type primitif donne. 
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Comme il a ete egalement rappele, dans cette pile deux grands 
types d'objets peuvent etre manipules : 

- des objets de type dit "primitit", ceux connus sous les denominations 
"/nf" (pour entier long : 4 octets), "short'' (pour entier court : 2 octets), 

5 "fcyfe" (octet), ''boolean'' (objet booleen) ; et 

- des objets de type dit "reference" (tableaux d'objets de type primitif, 
instances de classes). 

C'est ce dennier type d'objets qui pose le plus de probleme, d'un 
point de vue security, puisqu'il existe des posslbilit^s, comme indiqug 
10 pr§cedemment, de les manlpuler de fagon artificielle et de cr^er ainsi des 
dysfonctionnements de natures diverses. 

lis existent plusieurs types d' "opcodes", et notamment : 
" la creation d'un objet de type primitif (par exemple les opcodes 
denommes "bipush" ou "iconsf) ; 
15 - Texecution d'operations arithmetiques sur des objets de type primitif 
(par exemple les "opcodes" denommes "iadd" ou "sadd") ; 
la creation d'un objet reference (par exemple les "opcodes" 
d6nomm§s "neW\ "newarra/' ou "anewarra/'). 
la gestion de variables locales (par exemple les "opcodes" denommes 
20 "aload", "iload" ou "/store") ; et 

- la gestion de variables de classes (par exemple les "opcodes" 
denommes "gefsfaft'c^a" ou "putfieldj'). 

Chaque "opcode" qui utilise des objets places en pile est type afin 
de s'assurer que son execution puisse etre contr6l6e. G6neralement la(les) 
25 premiere(s) lettre(s) des "opcodes" indique(nt) le type utilise. A titre 
d'exemple, et pour fixer les Idees, (la ou les premiere(s) lettre(s) etant 
graissee pour mettre en evidence cette disposition), on peut citer les 
"opcodes" suivants : 

- "aload" pour les objets references ; 
30 ' "iload" pour les entiers ; et 

- "faload" pour les tableaux d'entiers. 
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Dans ce qui suit, par mesure de simplification la "machine virtuelle 
JAVA" sera appelee JVM. 

Selon une premiere caracteristique du precede selon Tinvention, 
des elements d'information de type sent stock§s dans une zone m6moire 
5 sous la forme, chacun, d'un ou de plusieurs bits. Chacun de ces elements 
. d'Inforrnation de type caracterise un objet manipul§ par la JVM. On associe 
notamment un 6l§ment d'information de type a : 

chaque objet empil6 dans la zone de donnee de la pile ; 
- chaque variable locale (variable dont la portSe ne depasse pas le 
10 cadre d'une methode) ; et 

a chaque objet de ce qui est appele le "heap", c'est-a-dire une zone 
de memoire stockant les objets dits "reference", chaque tableau et 
chaque variable globale. 
Cette operation peut etre appelee "typage" des objets. Selon une 
15 deuxidme caracteristique du precede de I'invention, la JVM verifie le typage 
dans les cas suivants : 

lorsqu'un "opcode" manipule un objet stocke dans la pile ; 
r^cupgre un objet dans la zone du "heap" ou dans celle des variables 
locales pour le placer en pile ; 
20 - modifie un objet dans la zone du "heap" ou dans celle des variables 
locales ; et 

iors de invocation d'une nouvelle m§thode, lorsque les operandes 
sent compares a la signature de la methode. 
Selon une autre caracteristique du precede de I'invention, la JVM 
25 verifie, avant Texecution des operations ci-dessus, que teurs types 
correspondent bien a celui attendu (c'est-a-dire ceux donnes par les 
"opcode" ^ effectuer). 

Dans le cas de la detection d'un type incorrect, des mesures 
securitaires sent prises afin de prot^ger la JVM et/ou d'empecher toutes 
30 operations ill§gales ou dangereuses pour Tintegrite du systeme, tant d'un 
point de vue logique que nnat6riel. 
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Pour mieux expliciter le procede selon Tinvention, on va maintenant 
le detainer en considerant un example particulier de code source en langage 
"JAVA". 

On suppose egalement que la JVM est associee a une pile de 32 
5 bits comportant au plus 32 niveaux et supportant les types primitifs (par 
exemple "/nf. '*short*\ "6yfe", "boolean'* et ''object reference'') 

Le typage de la pile, selon Tune des caract6ristiques de Tinvention, 
peut alors etre realise a I'aide d'elements d'information de type de longueur 
3 bits, conform6rhent d. la TABLE I plac6e en fin de la pr^sente description. 
10 Les valours portees dans la TABLE I sont naturellement arbitraires. D'autres 
conventions pourraient etre prises sans sorlir du cadre de Tinvention. 

Le code source "JAVA" qui va etre considere ci-apres a titre 
d'exemple particulier est le sulvant : 

15 Source "JAVA" (1) : 

Public void method(){ 
into buffer; 
buffer=new int[2] ; 
20 elements 

bufferI1]=5 ; 
} 

Apres un passage dans un compilateur approprie, un fichier 
25 "dasse" contenant le "p-code" (2) correspondant au code source ci-dessus 
(1 ) est obtenu. II se pr§sente comme suit : 

" D-code " 12) : 

30 iconst_2 // Push int constant 2 

newarray TJNT 



//Declaration 

// creation d'un tableau d'entiers de 2 
// initialisation du tableau avec la valeur 5 
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albad 1 



astore 1 



iconst 1 



into buffer 
intn buffer 

// Push int constant 1 



iconst 5 



// Push int constant 5 



5 



lastore 



return 



Comme il est bien connu de rhomme de metier, les trois premieres 
lignes correspondent a la creation du tableau precite (voir code source (1)). 
10 Les cinq dernieres lignes correspondent a ['initialisation de ce tableau 

On va maintenant illustrer en detail les etapes d'une execution 
correcte du "p-code" ci-dessus. Puisque le "p-code" est un langage de type 
interprete, les lignes successives sont lues les unes apres les autres et les 
^ etapes precitees con^espondent a Texdcution de ces lignes, avec 
15 eventuel lenient I'ex^cution d'it^rations et/ou de branchements. Dans ce qui 
suit, les differentes lignes de code sont graiss§es pour les mettre en 
evidence. 



Etape 1 : "/consf_2" 

La figure 1 A illustre de fagon schematique Tetape d'execution de ce 
"p-code". On a represente, sous la reference 1, la memoire du systeme 
embarque a puce electronique (non represent^). De fagon plus precise, 

25 cette memoire 1 est divisee en quatre parties principales, deux 6tant 
communes a Tart connu : la zone dite "zone data'* (donn§es) 2a et la zone 
dite "zone variable locale*' 3a. Ces zones, 2a et 3a, constituent la pile 
proprement dite de la machine virtuelle "JAVA" (JVM) que Ton appellera ci- 
aprds par simplification "pile de la JVM'\ 

30 A ces zones sont associees des zones de memoire, 4a et 5a, 

respectivement, specif iques a invention, que Ton appellera zones de 



Execution correcte : 



20 
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'Typage*\ Selon un des aspects de Unvention, les zones de m§moire, 4a et 
5a, sont destinees a stocker des Elements d'information de type (de 
longueur 3 bits dans Texemple decrit) associ^s aux donnees stockees dahs 
les zones 2a et 3a, respectivement, dans des emplacements de memoire en 

5 relation biunivoque avec les emplacements de m§moire de ces zones. 
Uorganisation logique de ces zones de memoire est du type dit "pile" comme 
rappel§. Aussi, elles ont ete representees sous la forme de tableaux de 
dimensions cxI, avec c nombre de colonnes et / nombre de lignes. c'est-^- 
dire la "hauteur" de la pile ou niveau (qui peut varier a chaque etape de 

10 rex6GUtion d'un "p-code"). Dans Texemple, c=4 pour les zones "zone cfafa" 
2a et "zone variable locale'' 3a (chaque colonne correspondant a une 
position de memoire de 4 octets, soit au total 32 bits), et c=3 pour les zones 
de "fypage", 4a et 5a, (chaque colonne correspondant a une position de 
memoire de 1 bit). Sur la figure 1A, le nombre de lignes represents (ou 

15 numero de niveau : 1 a 32 maximum dans I'exemple decrit) est egal a 2 
pour toutes les zones de memoire. Chacune des zones de memoire, 2a S 
5a, constitue done une pile elementaire. 

On doit bien comprendre cependant que, physiquement, les 
positions de memoires prScitees peuvent §tre rSalisees ^ base de divers 

20 circuits electroniques : cellules de memoire vive, registres, etc. De meme, 
elles ne sont pas forcement contigues dans Tespace m6moire 1 . La figure 
1 A ne constitue qu'une representation schematique de Torganisation logique 
en piles de la memoire 1 . 

U "opcode" a executor pendant cette premiere etape n'a nl 

25 parametre, ni operande. La valeur entiere 2 (soit "0002") est placee dans la 
pile : au niveau 1 (ligne inferieure dans Texemple) de la zone 2a. La zone de 
"^Typage" correspondante 4a est mise a jour. 

D'apres les conventions de la TABLE I, la valeur "/nf" (entier) "000" 
(en bits) est placee dans la zone de "Typage'' 4a, 6galement au niveau 1 

30 (ligne inferieure). Aucune valeur n'est plac§e dans la "zone variable locale'' 
3a. II en est de meme de la zone de ""Typage"" correspondante 5a. 



wo 01/88705 



PCT/FROl/01506 



14 

Etape 2 : newarray T JNT 

Udtape correspondante est illustree par la figure IB. 

Les elements communs ^ la figure 1 A portent les memes references 
numeriques et ne seront re-decrits qu'en tant que de besoin. Seule la valeur 
5 litterale assoclee aux valeurs numeriques est modifiee. Elle est identique a 
celle de la figure correspondante, soit b dans le cas de la figure 1B, de 
manidre a caracteriser les modifications successives des contenus des 
zones de memoire. II en sera de meme pour les figures suivantes 1 C a 1 G. 

U "opcode" a executer pendant cette deuxieme etape a pour 
10 parametre le type de tableau a creer (soit type "/nf). 

Get "opcode" a pour operande une valeur qui doit etre de type *1nt\ 
correspondant a la taille du tableau a creer (soit 2). 

La verification de la zone de Typage" (a Tetat 4a) indique un type 
correct. Lexecution est done possible. 
15 Un objet r§f§rence est cree dans la "Pile JVM" : par exemple la 

valeur (arbitraire) de quatre octets "1234" est plac^e dans les positions de 
m§moire de la "zone variable locale" (niveau 1). Puisqu'il s'agit d'un objet de 
type reference, la valeur "100" (en bits) est placSe dans la zone de "Typage" 
correspondante 5b (niveau 1). 
20 Aucune valeur n'est placee dans la zone de memoire 3^?, ni dans la 

zone de 'Typage** 5b. 

Etape 3 : astore_1 intQ buffer 

Cette etape est illustree par la figure 1 C. 

L' "opcode" a pour operande une valeur qui doit etre de type "Objet 
25 reference". La verification de la zone de "Typage" (a Tetat Ab) indique un 
type correct. Uex6cution est done possible. 

Uobjet reference est d6plac6 vers la "zone variable locale'' 3c : 
emplacement 1 (niveau 1). 

Les zones de "Typage", 4c et 5c sent mise ^ jour : la valeur "100" 
30 (en bits) est d6plac6e du niveau 1 de la zone 4c vers le niveau 1 de la 
zone 5a 
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Etape 4 : aload_1 intQ buffer 

Cette etape est illustree par la figure 1 D. 

Get "opcode" a pour objet d'empiler I'objet r6ference "1234\ stocks 
dans la "zone variable locale" 3d, au niveau 1 de la "zone data'* 2d, c'est^a- 
5 dire dans les positions de memoire de la ligne inferieure de cette zone. 

La v6rification de la zone de "Typage" Tetat 5c) Indlque un type 
correct. UexScution est done possible. 

Uobjet reference "1234" est plac6 dans la "zone data"* 2d, 

Les zones de "Typage" 4d et 5d sont mises a jour et stockent toutes 
10 deux, dans les emplacements de memoire correspondants, la valeur "100" 
(en bits), representative d'un type "Objet reference". 

Etape 5 : iconst_1 // Push Int constant 1 

Cette etape est illustree par la figure 1 E. 

L' "opcode" a executor pendant cette etape n'a ni parametre ni 
15 operande. La valeur entiere 1 (soit "0001") est placee dans la pile : 
emplacement 2 (niveau 2) de la "zone cfafa" 2e. La zone de "Typage" 
correspondante 4e est mise d jour, Sgalement au niveau 2 (le niveau 1 reste 
inchang§ : valeur "1000"). La valeur "/nf" (entier) "000" (en bits) est placee 
dans la zone de "Typage** 4^ (niveau 2). Les zones 3e et 5e restent 
20 inchang6es. 

Etape 6 : iconst_5 // Push int constant 5 
Cette etape est illustree par la figure 1 F. 

L' "opcode" a executer pendant cette etape n'a ni parametre ni 
op§rande. La valeur entiere 1 (soit "0001 ") est placee dans la pile : niveau 3 
25 de la "zone cfafa" 2t La zone de **Typage" correspondante 4f est mise a jour, 
§galement au niveau 3 (les niveaux 1 et 2 restent inchang§s : valeurs "1000" 
et "000" respectivement). La valeur "/nf ' (entier) "000" (en bits) est placee 
dans la zone de ^Typage** 4f. Les zones 3f et 5f restent inchangees. 
Etape 7 : lastore 
30 Cette etape est illustree par la figure 1 G. 
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Get "opcode" a pour operande une valeur de type "inf\ un index de 
type "/hf et un objet reference de type tableau. 

La verification de la zone de 'Typage'' (a Tetat 4/ : niveau 3) indique 
un type correct. L'execution est done possible. 
5 La valeur est stock§e dans Tobjet r§f6rence S ('index donn§. 

Etape 7 : return 

Get "opcode" indique la fin de la m^thode, la pile doit alors §tre 

vide. 

En considerant de nouveau le meme "p-code" (voir (2), obtenu 
10 apres compilation du code source (1)), on va maintenant detainer un 
exemple d'execution incorrecte. 

Execution incorrecte : 

15 A l*6tape que Ton nommera 4' (correspondant a Tetape 4 : figure 1D). II est 
suppose que le "p-code" a §t§ alt§r§ et que T "opcode" : 

"aloadj int Q buffer" , 
a et6 remplac§, par exemple, par r "opcode" suivant : 

"lipush 0x5678", 
20 instruction dans laquelle " Ox" indique une valeur hexadecimale. 

Gomme illustre par la figure 2A, cet "opcode", de type objet de 
reference, stocke au niveau 1 de la "zone variable locale'' Za\ a pour objet 
d'empiler un entier de valeur "5678" dans la pile, dans la "zone data" 2*a. 

LdL zone de "Typage" 4a' va §tre mise a jour. II s'ensuit que les 
25 niveauxl des zones de "T>page", 4a* et 5a', vont tous deux contenir la 
valeur "100" (en bits), tfest-^-dire une valeur associ6e a un "Objet 
reference". Cette configuration particuliere est illustree par la figure 2A. 

L'execution se poursuit normalement comme dans le cas 
pr6c6demment illustr6 par reference aux figures 1E et 1F. 
30 Etape 5' : IconsM // Push in! constant 1 
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Etape 6* : lconst_5 // Push inl constant 5 

L'etat des zones de la "p//e de la JVM\ ''zone variable locale'' 3b' et 
"zone data'' 2b*, est illustre par la figure 2B. de fagon plus precise la "zone 
data" 2b' enregistre, au niveau 1 , la valour entidre "5678", au niveau 2, la 

5 valeur entiere "0001" et au niveau 3, la valeur entidre "0005". La "zone 
variable locale" 3a' est restee inchangee. II en est de meme de la zone de 
"Typage" correspondante 5a'. Par contre, la zone de "Typage" 4b' est mise a 
jour et les valeurs suivantes sont enregistrees aux niveaux respectifs 1 a 3 : 
"1 00", "000" et "000" (en bits). 

10 Etape 7' : iastore 

Cat "opcode" a pour operande une valeur de type "int", un index de 
type "int" et un objet reference de type tableau. 

La verification de la zone de "Typage" (niveau 1 de la zone, a Tetat 
4d') indique que le code detecte est incorrect. En effet, un entier {"int" ; code 

15 "000") est attendu ^ la place d'un "Objet reference" (code "1 00"). 

La JVM detecte done la presence d'un "opcode" illegal menagant la 
securite du systeme. L'execution norrrale de la sequence d'instructions en 
cours est interrompue et remplacee par l'execution d'instructions 
correspondant ^ des mesures s^curitaires pre-programmees : signal 

20 d'alerte, etc. 

On a suppose jusqu'a present que la largeur (ou taille) de la "pile de 
la JVM" ; que ce soit celle de la "zone data" ou la "zone variable locale", etait 
fixe, ce qui est generalement le cas dans Tart connu. Dans Texemple decrit, 
on a suppose que chaque emplacement de memoire compte quatre octets 

25 (soit 32 bits). Cependant, une telle disposition s'avere penalisante en terme 
de capacite de memoire. En effet, d'une application logicielle a I'autre, voire 
a rinterieur d'une m§me application, le nombre d'octets necessaire pour 
chaque instruction est variable, Comme il a 6te indique, I'agencement les 
piles elementaires des "zone data" et "zone variable locale" telles 

30 qu'illustrees par les figures 1 A a 1 G, ou 2A ^ 2B, ne representent qu'une vue 
logique de I'espace m§moire 1. II est done tout k fait possible de conserver 
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une architecture logique du type pile, meme si les emplacements de 
memoire, successifs ou non, sont de longueurs variables, voire meme si les 
differentes positions (cellules) de memoire sont physiquement dispersees. 

Aussi, selon une premiere variante supplementaire du precede 

5 selon rinvention, les elements d'lnformation de type permettent aussI de 
d6temniner ia largeur instantanee necessaire, en positions de memoire, des 
zones de la "p//e de la JVM'\ II suffit, pour ce faire, que les codes enregistres 
dans les zones de Typage" de la memoire soient associes, en tout ou 
partie, a une information caracterisant la largeur de la pile precitee. A titre 

10 d'exemple non limitatif, il peut s'agir de bits suppl^mentaires, ajout§s aux 
codes de typage, ou d'une combinaison de bits non utilisee de ces codes. 
Dans le premier cas, si la largeur de la pile peut varier, toujours a titre 
d'exemple, entre 1 et 4 octets, 11 suffit de 2 bits supplemental res pour 
caracteriser les largeurs suivantes : 

15 



Configuration binaire 


00 


01 


10 


11 


Largeur en octets 


1 


2 


3 


4 



Cette disposition, qui permet d'optimiser Tespace m6moire en 
fonction des applications a executer, conduit d un gain de place de memoire 
substantiel, ce qui constitue un avantage appreciable lorsqu'il s'agit de 

20 dispositifs, telle notamment une carte a puce, dont les ressources de 
stockage sont limitees par nature. 

Selon une deuxidme variante de realisation du proced6 selon 
invention, il est egalement possible d'utiliser les 6l6ments d'information de 
type pour indiquer si un objet est encore utilis§ (c'est-a-dire doit etre 

25 conserve) ou peut §tre efface de la "zone variable locale". En effet, au bout 
d'un certain nombre d'operations, un objet donnS enregistre dans cette zone 
n'est plus utilise. Le latsser en permanence constitue done une perte inutile 
d'espace memoire. 
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A titre d'exemple non limitatif, on peut ajouter un bit d'information 
aux codes enregistr6s dans les zones de Typage", faisant fonction de 
drapeau, ou 'Y/ag" selon la terminologie anglo-saxonne. Letat de ce bit 
indique alors si Tobjet doit etre conserve (car encore utilise) ou peut etre 
5 efface, et le marque comme tel. Les conventions arbitraires suivantes 
peuvent etre adoptes : 

- etat logique "0" = objet utilise 

- etat logique "1 " = objet pouvant etre efface 

Cette disposition, que Ton peut qualifier de mecanisme de type 
w "garbage collector" (ou "ramasse-miettes") permet aussi un gain en espace 
memoire. 

Naturellement, les dispositions propres aux deux variantes de 
realisation supplemental res qui viennent d'etre decrites peuvent etre 
cumulees. 

15 La figure 3 illustre sch^matiquement un exemple d'architecture de 

systeme informatique a base d'applications de carte a puce pour la mise en 
oeuvre du precede selon invention qui vieht d'etre decrit. 

Ce systeme comprend un terminal 7, qui peut etre relie ou non a des 
reseaux exterieurs, notamment au r§seau internet /?/, par un modem ou tous 

20 moyens equivalents 71. Le terminal 7. par exenrple un micro-ordinateur, 
comprend notamment un compllateur 9. Le code peut Stre compile k 
Texterieur du terminal pour donner un flchier dit " Class" (compilateur "JAVA" 
vers "Class"), c'est ce fichier qui est teleciiarge par un navigateur Internet, le 
micro-ordinateur comprend lui un convertisseurr qui donne un fichier dit 

25 "Cap" ("Class" vers "Cap"). Ce convertisseur reduit notamment la taille du 
fichier "Class" pour permettre de le charger sur une carte a puce. Une 
application quelconque, par exemple telechargee via le reseau Internet fl/ et 
ecrite en langage "JAVA" est compilee par le compilateur 9 et chargee, via 
un iecteur de carte a puce 70 dans les circuits de memoire 1 de la carte a 

30 puce 8. Celle-ci integre, comme il a et6 rappele, une machine virtuelle 
"JAVA (JVM) 6 capable d'interpreter le "p-code" issu de la compilation et 
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charges dans la memoire 1. On a egalement represente differentes piles de 
memoire : les zones "zone data" 2 et "zone variable locale" 3, ainsi que les 
zones de typage, 4 et 5, ces dernieres specifiques a Tinvention. La carte a 
puce 8 comprend egalennent des moyens classiques de traitement de 

5 donnees relies a la nnemoire 1 , par exemple un microprocesseur 80. 

Les communications entre la carte a puce 8 et le terminal 7, via le 
lecteur 70, d'une part, et entre le terminal 7 et le monde exterieur, par 
exemple le reseau Internet /?/, via le modem 71 , d'autre part, s'effectuent de 
fagon egalement classique en sol, et il n'y pas lieii de les d§crire plus avant. 

10 A la lecture de ce qui precede, on constate aisement que invention 

atteint bien les buts qu*elle s'est fixes. 

Elle permet une execution securisee d'une suite d'instructions d'une 
application ecrite langage du type a donnees typees se deroulant dans une 
memoire a architecture de type pile. Le degre de securisation eleve est 

15 obtenu notamment du fait que la verification du code est effectuee de fagon 
dynamique, selon un des aspects de Tinvention. 

Cette disposition penmet en outre, au prix d'une augmentation 
minime du temps de traitement, de se passer d'un verificateur nScessitant 
des ressources de memoire importantes. Ce type de verificateur ne peut 

20 d'ailleurs convenir, dans la pratique, aux applications pr6f6r6es de 
invention. 

II doit §tre clair cependant que Tinvention n'est pas limit^e aux seuls 
exemples de realisations expllcltement d^crits, notamment en relation avec 
les figures 1 A d 1G, 2A d 2B et 3. 

25 De meme, bien que Tinvention s'applique plus parti culierement a un 

langage de type objet, et plus particulierement au "p-code" du langage 
"JAVA", obtenu apres compilation, elle s'applique a un grand nombre de 
langage mettant en oeuvre des donnees typees, tels les langages "ADA" ou 
"KAMEL" rappeles dans le preambule de la presente description. 

30 Enfin, bien que Tinvention soit particulierement avantageuse pour 

des systdmes embarques a puce §lectronlque, dont les ressources 
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informatiques, tant de traitement de donnees que de stockage de ces 
donnees, sont limitees, notamment pour des cartes a puce, elle convient 
parfaitement. a fortiori, pour des systemes plus puissants. 



TABLE I 



Prefixe 


Type 


Code 


/ 


"Int" 


000 


s 


"Short" 


001 


b 


"Byte" 


010 


z 


"Boolean" 


011 


a 


"Object Reference" 


100 
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REVENDICATIONS 

1. Procede pour Texecution s§curisee d'une sequence d'instructions d'une 
application informatique se presentant sous la forme de donn6es typ§es 
enregistrees dans une premiere serie d'emplacements determines d'une 

5 memoire d'un systeme informatique, notamment un systeme embarque a 
puce electronique, caracterise en ce que des donnees supplementaires 
dites Elements d'information de type sont associees a chacune desdites 
donnees typees, de maniere a specifier le type de ces donnees, en ce 
que lesdits elements d'information de type sont enregistres dans une 

10 deuxieme s§rie d'emplacements de memoire determines (4, 5) de ladite 
m§molre (1) de systeme informatique (8), et en ce que, avant I'execution 
d'instructions d'un type predetermine, il est procede a une verification en 
continu, pr§alable ^ Tex^cution d'instructions pr§determinees, de la 
concordance entre un type indiqu§ par ces Instructions et un type attendu 

75 Indlque par lesdits el§ments d'information de type enregistres dans ladite 
deuxidme s§rie d'emplacement de memoire (4, 5), de maniere n'autoriser 
ladite execution qu'en cas de concordance entre lesdits types. 

2- Proc§de selon la revendication 1 , caracterise en ce que cliacun desdits 
6l6ments d'information de type est constitue par une suite de bits 
20 enregistres dans des emplacements de memoire de ladite deuxidme s§rie 
(4, 5), en correspondance biunivoque avec des emplacements de 
memoire de ladite premiere s6rie (2, 3) dans lesquels sont enregistrees 
desdites donnees typees associees, et dont la configuration est 
representative d'un desdits types de donnees typees. 

25 3. Procede selon la revendication 1, caract6ris6 en ce que lesdites 
instructions etant celles d'une application ecrite en langage "JAVA" 
(marque d§posee), lesdites donnees typees sont constituees par des 
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objets types, en ce que ledit systeme informatique integre une piece de 
logicielle dite machine virluelle "JAVA" (5) manipulant lesdits objets types, 
en ce que, lesdits emplacements de memoire (2-5) de ladite memoire (1) 
du systeme informatique (8) etant organises en piles comportant un 

5 nombre maximum de niveaux determine, chaque niveau constituant uh 
desdits emplacements de m§moire, lesdits objets typ§s sont enregistres 
dans au moins une premiere pile el§mentaire dite zone de donnees (2) et 
un deuxieme pile elementaire dite zone de variables locales (3), et en ce 
que lesdits Elements d'information de type sont r^partis dans deux piles 

10 elementaires supplementaires (4, 5) en relation biunivoque avec lesdites 
premiere (2) et deu)deme (3) piles elementaires, de maniere a specifier le 
type desdits objets associes enregistres dans lesdites zones de donnees 
(2) et de variables locales (3). 

4. Proc6d§ selon la revendication 1 , caracterise en ce que lorsque ladite 
15 concordance n'est pas realis6e, Tex^cution de ladite sequence 

d'instructions est interrompue et remplacee par Texecution d'instructions 
correspondant a des mesures securitaires pre-programmees 

5. Proced6 selon la revendication 3, caracterise en ce que lesdits 
elennents d'information de type sont associes a des elements 

20 d'information supplementaires determinant la taille desdits emplacements 
de memoires desdites piles (2, 3) enregistrant lesdits objets types, de 
maniere a rendre variable la taille desdites piles, en fonction desdits 
objets a manipuler. 

6. Precede selon la revendication 3. caracterise en ce que lesdits 
25 elements d'information de type sont associ6s a des elements 

d'infornnation supplementaires, dits drapeaux, de maniere a marquer 
lesdits objets qui leur sont associes et a indiquer s1ls doivent etre 
conserves dans lesdites piles (2, 3) ou peuvent §tre effaces. 
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7. Systeme embarque a carte a puce electronique comprenant des 
moyens de traitement informatique de donnees et des moyens de 
memoire pour Texecution securisee d'une sequence d'instructions d'une 
application informatique se presentant sous la forme de donnees typees 
5 enregistr§es dans une premiere serie d'emplacements determines d'une 
m§moire d'un systeme informatique, caracterise en ce que lesdits moyens 
de m§moire (1) comprennent une deuxidme serie d'emplacements 
determines (4, 5) pour Tenregistrement de donnees supplementaires dites 
elements d'information de type, associes a chacune desdites donnees 

10 typees, de manidre a specifier le type de ces donn§es, et des moyens de 
verification (6) permettant une verification en continu, prealable a 
I'execution dinstructions predeterminees, de la concordance entre un 
type indique par ces instructions et un type indique par lesdits elements 
d'information de type, de maniere n'autoriser ladite execution qu'en cas 

15 de concordance entre lesdits types. 

8- Systeme selon la revendication 7, caracterise en ce que, ladite 
premiere s6r\e d'emplacements determines de ladite memoire (1) du 
systeme embarque a puce electronique (8) etant organisee en piles 
comportant un nombre maximum de niveaux determine, chaque niveau 

20 constituant un desdits emplacements de memoire, lesdites donnees 
typees sont enregistrSes dans au moins une premiere pile ^lementaire 
dite zone de donnees (2) et une deuxieme pile elementaire dite zone de 
variables locales (3), et en ce que ladite deuxieme serie d'emplacements 
de m§molre est aussi organisee en piles 6l§mentaires (4, 5), en relation 

25 biunivoque avec lesdites premiere (2) et deuxieme (3) piles elementaires. 

9. Systfime selon la revendication 8, caract§ris6 en ce que lesdits 
elements d'information de type enregistres dans ladite deuxieme s^rie 
d'emplacements de m§moire (4, 5) sont associ§s a des elements 
d'information suppl6mentaires determinant la taille desdits emplacements 
30 de m6moires desdites piles (2, 3) enregistrant lesdites donnees typees. 
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Systeme selon la revendication 7, caracterise en ce que ledit 
systeme embarque est une carte a puce (8). 
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